2016-05-01 12 views
2

私はリバースエンジニアリングしていますが、私のD:\ driveにパスへの参照がいくつかあります。しかし、私はD:\ driveを接続していません。実行可能ファイルに一時的な格納サイトを作成する可能性はありますか?IDA Pro:リバースエンジニアリング時代のストレージ

例えば、文字列がある:

D:\BuildAgent\...\bin\...\fileIWantToSee.jpg 

IDAもシンボル情報がDドライブにあり、無駄に、それを探すためにしようと考えています。そここれらの文字列内のファイル参照の多くのインスタンスがあり、それらの多くはで終わる:

Line: **LINENUMBER** 
私は、このストレージが置かれている場所を見つけようとして行くでしょう

?ありがとうございました!

編集:特定のセクションにある可能性がありますか?

+0

これらは、特に実行時に生成され、実行時に生成されるメモリではない場合、開発者のマシン*(使用されていない、デバッグ用)のパス*への参照である可能性があります。実際に実行時設定のパスについて話していて、Eugeneの答えに示唆されているようなシミュレートされた記憶域の場合は、JPEGファイルで発生する文字列のメモリをスキャンするか(たとえば、 'JFIF'や'Exif'、' FF D8'バイトで始まり、 'FF D9'バイトで終わる)、GetOpenFileNameを呼び出し、選択したファイルをエクスポートするDLLを書くことができます。[...] – CherryDT

+0

[...]自分のコードそのパスの外側の別のファイルに内容を書き込んで、そのDLLをプロセスに注入します。 Eugeneのようなシステムだとすれば、隠された領域の外にファイルを "コピー"することができます。 – CherryDT

+0

実際には、あなたの質問をもう一度読んだので、これらは、プログラムの作者のマシン上のソースファイルのファイルパスを含むアサーションの一部であり、あなたのものではなく、アサーションがあるコード行の行番号終わらせる。だから、あなたがそれらのファイルにアクセスする方法はありません、彼らはあなたのコンピュータ上に全く存在しません。言って、問題のファイルのファイル拡張子は本当に '.jpg'ですか?あるいは '.pas'や' .cpp'のようなものでしょうか?これは私の理論を支持するだろう。 – CherryDT

答えて

1

実行可能ファイルに一時的なストレージサイトを作成する可能性はありますか?

これも可能です。アプリケーションにこのようなコンテナを作成させる少なくとも1つの製品(http://www.boxedapp.com/)が存在します。ファイルAPIの呼び出しは、この製品によってアプリケーションに追加されたコードによって傍受され、この追加されたコードは(ファイル操作をエミュレートする)別の方法で、他のすべての呼び出しをWindows APIに移動させます。

関連する問題